Flest ókeypis öppin sem þú ert með í símanum eru í raun ekki ókeypis.
Þér eru þau boðin í skiptum fyrir gögnin þín.
Þetta er skiptiviðskipti.
Það er gagnsætt í grunninn, og í mörgum tilvikum er þetta skiptiviðskipti sem borgar sig — það er ekkert hneykslanlegt við það.
Mörg öpp fyrir persónulegan fjárhag virka líka svona.
Þér er gefið ókeypis eða nánast ókeypis rakningartæki, og í staðinn safna þau útgjaldagögnum þínum til að búa til markaðsskýrslur, persónusniðnar tillögur, auglýsingatilboð, prófílagerð, viðskiptasamstarf.
Hér líka, í grunninn, er þetta lögmætt val þjónustuveitandans.
Þú samþykkir þjónustuskilmálana á augabragði og heldur áfram.
Cashfulness tók annað val.
Ekki til að dæma önnur öpp — hver og einn byggir sitt eigið líkan, og mörg gera það heiðarlega — heldur af því að við teljum að persónulegur fjárhagur eigi skilið aðra meðferð.
Þetta er svæði þar sem þokan er þegar nóg, og þar sem sjálf vitundin um að einhver (jafnvel bara fræðilega) gæti skoðað tölurnar þínar tekur burt merkingu vörunnar sjálfrar.
Rósemi sem við tölum um er innantómt loforð ef gögnin eru ekki örugg.
Þess vegna byggðum við Cashfulness í kringum nákvæma tæknilega ákvörðun, skrifaða inn í grunn kóðans, sem virkar á tveimur þrepum.
Fyrsta þrepið verndar skjölin sem þú flytur inn í Cashfulness — með róttækri enda-í-enda samskiptalæsingu (end-to-end encryption).
Annað þrepið verndar auðkennið þitt og bókhaldsgögnin þín — með hámarks nafnleynd.
Þessi tvö þrep svara ólíkum þörfum og nota ólík tæki. Það er þess virði að útskýra þau eitt af öðru.
Af hverju þarf nettengingu (og hvað það þýðir fyrir persónuvernd)
Ein tæknileg forsenda áður en við förum í þrepin tvö.
Cashfulness virkar aðeins ef tækið þitt er nettengt.
Í síma eða á borðtölvu verður appið að geta talað við fjaraðgengilegan gagnagrunn sem lifir á netþjónum okkar (evrópskur innviður).
Af hverju þetta val? Vegna þess að bókhaldsgögnin þín verða að vera samstillt milli mismunandi tækja sem þú notar.
Ef þú bætir við færslu úr símanum í hádegishléi, viltu sjá hana aftur um kvöldið á fartölvunni. Ef þú gerir hið gagnstæða, gildir það sama.
Án miðlægs sannleikspunkts myndu gögnin víkja kerfisbundið milli tækja, og þú myndir enda með tvö ósamræm eintök af bókhaldinu þínu — lítil martröð sem gerir tilgang tvíhliða bókhalds að engu.
Já, þess vegna fer bókhaldið þitt í gegnum fjarlægan netþjón.
Þetta er ekki uppgjöf á persónuvernd: þetta er tæknilegt skilyrði sem er nauðsynlegt til að gefa þér bókhald sem virkar í raun á mörgum tækjum.
Áhugaverða spurningin verður: hvernig verndum við persónuvernd þína miðað við þessa takmörkun?
Svarið liggur í þrepunum tveimur sem ég ætla nú að segja þér frá.
Þrep 1 — Róttæk enda-í-enda dulkóðun fyrir skjöl
Þegar þú byrjar að nota Cashfulness muntu fyrr eða síðar vilja flytja inn í appið skjölin þín: bankayfirlit, húsnæðislán eða leigusamninga, raf- og gasreikninga, tryggingaskírteini, fjárfestingarvottorð, sjóðayfirlit, mikilvægar skattkvittanir.
Þessi skjöl innihalda allt: fullt nafn þitt, heimilisfang, kennitölu, IBAN, upphæðir, gagnaðila, smáatriði úr lífinu.
Þetta er viðkvæmasta þrepið af öllum.
Fyrir þau tókum við ströngustu mögulegu ákvörðun: róttæka enda-í-enda dulkóðun.
Tæknilega hugtakið er enda-í-enda samskiptalæsing, eða E2EE.
Til að skilja hvað þetta er án tæknimáls, ímyndaðu þér að þú viljir senda bréf með sendli.
Þú hefur tvo kosti.
Kostur 1, staðalmódel.
Þú skrifar bréfið opið, setur það í umslag, gefur sendlinum það.
Sendillinn — ef hann vill — getur opnað umslagið, lesið bréfið, tekið glósur, og síðan lokað því aftur og afhent það.
Þú treystir því að hann geri það ekki af því að hann lofaði því, kannski af því að lög banna honum það og gefa þér einhverja tryggingu.
En í raun getur hann það.
Kostur 2, enda-í-enda dulkóðun.
Þú skrifar bréfið, lokar það inni í málmkassa sem opnast aðeins með ákveðnum lykli.
Aðeins þú átt lykilinn. Aðeins þú.
Þú gefur sendlinum kassann. Sendillinn flytur hann og geymir.
Jafnvel þótt hann tæki hann og færi með hann heim, gæti hann ekki opnað hann, af því að hann hefur ekki lykilinn.
Þegar þú þarft bréfið, opnar þú sjálf/ur kassann með lyklinum þínum, og lest.
Enda-í-enda dulkóðun skjala í Cashfulness er málmkassinn úr Kosti 2.
Þegar þú hleður skjali inn í appið, dulkóðar tækið þitt það áður en það er sent til netþjónsins. Það kemur á netþjóninn og er þar áfram dulkóðað.
Fyrir netþjóninn er hvert skjal þitt bara blokk af stafrænum suði.
Lykillinn til að afkóða er aðeins til á tækinu þínu, dreginn af persónulega lykilorðinu þínu og 24 endurheimtarorðunum þínum (svokölluð seed phrase, traustasta staðalinn í dag til að búa til og vernda persónulega dulkóðunarlykla).
Hvað þýðir þetta í raun:
- Netþjónn Cashfulness getur ekki lesið skjölin þín. Hvorki við sem byggðum appið, né þeir sem sjá um innviðina, né hugsanlegur árásaraðili í framtíðinni.
- Ef Cashfulness yrði brotist inn í á morgun og öll skjöl á netþjónunum stolið, myndi árásaraðilinn aðeins sjá suð. Ónothæft.
- Jafnvel yfirvald sem myndi formlega óska eftir skjölunum þínum myndi fá suð. Við getum ekki gefið þau, af því að við höfum þau ekki læsileg.
Það er líka hin hlið málsins, og við viljum vera heiðarleg um það.
Ef þú týnir lykilorðinu þínu og týnir líka 24 endurheimtarorðunum, verða skjölin þín ólæsileg jafnvel fyrir þig sjálfa/n.
Að eilífu.
Við getum ekki endurheimt þau, af því að tæknilega getum við ekki lesið það sem þú hefur dulkóðað. Það er engin „lykilorðsendurheimt í gegnum tölvupóst“ sem myndi skila skjölunum til þín, af því að það er enginn hinum megin sem gæti gert það.
Lykillinn er aðeins þinn.
Þetta þýðir frelsi — aðeins þú getur fengið aðgang — og ábyrgð — aðeins þú getur tapað aðgangi.
Þetta er heimspekilegt val. Við viljum frekar gefa þér fulla stjórn, jafnvel þótt það feli í sér byrðina að varðveita auðkennisgögnin þín, heldur en að geyma „öryggis“-afrit á netþjóninum okkar. Það afrit gæti fyrr eða síðar orðið veikleikapunktur.
Lykill sem er aðeins til í símanum þínum — ekki.
Þrep 2 — Hámarks nafnleynd fyrir auðkenni og bókhaldsgögn
Annað þrepið er ólíkt, og nær yfir allt annað: hver þú ert og hvað þú gerir inni í appinu í tölulegu tilliti.
Fyrir þessi gögn völdum við aðra stefnu, af því að vandamálið er af öðrum toga.
Skjöl eru „kassar“ með viðkvæmu innihaldi, og það er skynsamlegt að dulkóða þau algjörlega.
Bókhaldsgögn eru hins vegar lifandi bygging: tölur, reikningar, flokkar, færslur sem þú þarft á hverjum degi, og sem Cashfulness byggir fjárhagsheilsumælikvarðana sem þér eru sýndir á.
Að dulkóða þau á sama hátt og skjölin myndi gera appið afar hægt og í mörgum tilvikum ónothæft.
Svar okkar er ekki algjör dulkóðun. Það er hámarks nafnleynd.
Í raun þýðir þetta tvennt.
Cashfulness vill ekki einu sinni vita hvað þú heitir.
Þegar þú skráir þig, spyrjum við ekki um fornafn og eftirnafn.
Við biðjum um gælunafn (nickname) — hvað sem þú vilt sjálf/ur, það má vera algjörlega uppspuni.
Við biðjum um tölvupóst fyrir tæknilega snertingu (endurheimt aðgangs, þjónustuskilaboð), og lykilorð.
Stopp.
Enga kennitölu, ekkert fæðingardag, ekkert heimilisfang, ekkert símanúmer, engin tenging við bankareikninginn þinn, enga auðkennisstaðfestingu.
Fyrir Cashfulness ert þú gælunafn með tölvupósti. Ekkert meira.
Bókhaldsrýmin þín eru erfið að afkóða fyrir hvern sem er nema þig.
Appið býður þér að greina tekjur og útgjöld í sérstaka reikninga og undirreikninga. Nöfnin sem þú gefur þeim reikningum, merkingar á færslum þínum, hversu nákvæm þú lýsir fjárhagslífi þínu — allt þetta ákveður þú sjálf/ur, með orðaforðanum sem hentar þér best.
Cashfulness biður þig aldrei um að setja persónuupplýsingar inn í nöfn reikninga: enga kennitölu, ekkert IBAN í fyrirsögnum, engin eiginnöfn. Nöfnin eru virk (til dæmis: „Laun“, „Aðal viðskiptareikningur“, „Húsnæðislán“, „Bílkostnaður“, „Innheimt leiga“): þau lýsa hlutverki, ekki þér.
Samanlagt gera þessir tveir þættir — gælunafn sem afhjúpar ekki hver þú ert, og reikningsnöfn sem lýsa hverju, ekki hverjum — bókhaldið þitt erfitt að skilja og ómögulegt að tengja við þig fyrir hvern sem er nema þig sjálfa/n.
Áþreifanlega niðurstaðan er þessi: jafnvel þótt einhver (árásaraðili, óheiðarlegur starfsmaður, yfirvald) gæti skoðað gagnagrunninn netþjónsmegin, myndi hann sjá ákveðið gælunafn með reikningaáætlun, stöðum og færslum.
Hann myndi ekki vita hver þetta gælunafn er.
Hann hefði enga leið til að tengja þessar tölur við raunverulegu manneskjuna á bak við skjáinn.
Hann myndi sjá bókhald án ævisögu.
Nokkur hagnýt ráð til að vera í raun nafnlaus
Nafnleyndin er ekki bara okkar loforð: þetta er líka lítil hreyfing frá þér.
Ef þú vilt að bókhaldið þitt sé óskiljanlegt öllum nema þér, ráðleggjum við þér að:
- Nefna reikninga eftir hlutverki, ekki eftir manneskju. „Bankareikningur“, „Laun“, „Húsnæðislán“, „Sameiginlegur reikningur“ virka vel. „Reikningur Jóns Jónssonar“ eða IBAN í heild sinni í fyrirsögninni opna óþarfa glufu.
- Láta lýsingar á færslum vera náttúrulega almennar. Þær eru þegar það af eðli sínu: „morgunmatur á kaffihúsi“, „kvöldmatur á veitingastað“, „bensín á bílinn“, „innkaup í matvöruverslun“. Enginn nema þú myndi átta sig á hvort sá kvöldmatur á veitingastað var í Reykjavík með viðskiptavini eða á Akureyri með systur þinni.
- Nota gervinafnstölvupóst fyrir skráninguna, ef þú vilt taka þetta út í ýtrustu mörk. Tölvupósturinn þinn er aðeins til innskráningar og til að skila þjónustuskilaboðum: enginn þvingar þig til að nota „opinberan“ tölvupóst eins og
fornafn.eftirnafn@lén.is. Það er alveg í lagi með gervinafn eins ognott.thoka@protonmail.comeða hvað annað sem hentar þér.
Jafnvel greiðslan er nafnlaus (fyrir okkur)
Atriði sem lesandinn á venjulega ekki von á, og er þess virði að segja skýrt.
Fyrir áskriftir að Cashfulness biðjum við ekki beint um kreditkort, IBAN, eða reikningsupplýsingar. Greiðslan fer í gegnum verslunina sem þú náðir appinu úr: App Store (Apple) eða Google Play (Google) fyrir farsímaútgáfur, Stripe fyrir greiðslur af vefsíðunni.
Það eru þessir þriðju aðilar sem sjá nafn þitt, heimilisfang, kreditkort eða IBAN — af því að tæknilega eru það þeir sem innheimta. Þeir bera venjulega ábyrgð á útgáfu reikninga eða skattkvittana fyrir áskrift þína (samkvæmt reglum landsins þíns).
Cashfulness, hinum megin þeirrar leiðslu, fær aðeins hreina innheimtu og ógegnsætt auðkenni áskriftarinnar (eitthvað eins og sub_abc123).
Við sjáum aldrei: nafn viðskiptavinar, kennitölu, kreditkort, IBAN.
Við gefum ekki út reikninga eða skattkvittanir til lokanotenda.
Með öðrum orðum: jafnvel á viðskiptahliðinni er okkur nóg að vita að virk áskrift sé til tengd ákveðnu gælunafni og ákveðnum gervinafnstölvupósti. Ævisaga viðskiptavinarins er hinum megin leiðslunnar, hjá versluninni, og þar er hún áfram.
Erfiðu valin sem af þessu leiðir
Að setja þessi tvö þrep saman er ekki ókeypis eiginleiki.
Þetta er val sem lokar sumum dyrum með kerfisbundnum hætti, og það er þess virði að vera skýr um þær dyr, af því að þarna sést verðið fyrir samkvæmnina.
Engin fínkorna hegðunargreining eftir prófíl.
Við getum ekki tengt virkni innan appsins við raunveruleg auðkenni, af því að við höfum ekki raunveruleg auðkenni.
Vöruþróunin er aðeins blindari gagnvart einstaklingsbundnum mynstrum. Við reiðum okkur miklu meira á beina endurgjöf, betaprófanir, eigindleg viðtöl.
Það virkar, en er minna sjálfvirkt.
Engar persónusniðnar viðskiptatillögur.
Við segjum þér ekki „aðrir notendur eins og þú keyptu X“ út frá prófílnum þínum. Við þrýstum ekki á þig vörum frá kostuðum samstarfsaðilum út frá tölunum þínum. Viðskiptaprófílgerðarlíkanið, sem er brauð margra ókeypis appa, er ekki til í Cashfulness.
Það sem við gerum í staðinn — og okkur er annt um að segja það skýrt — eru leiðir til að bæta fjárhagsstöðu þína: vísbendingar um hvar tölurnar þínar benda til að hægt væri að spara, hvar samsetning eignanna á skilið íhugun, hvar mánuðir í varasjóði gætu vaxið með litlum breytingum.
Þetta eru fræðandi vísbendingar, byggðar á þínum eigin gögnum, og — þegar eðli gagnanna krefst þess — reiknaðar á tækinu þínu, á staðbundnu afkóðuðu eintaki.
Ein mikilvæg athugasemd: Cashfulness gefur ekki persónusniðin fjárfestingarráð. Það er svæði löggiltra fjármálaráðgjafa, og af góðum ástæðum: þetta er lögbundin starfsemi sem krefst sérfræðiþekkingar, ábyrgðar og trúnaðarsambands sem er annað en það sem er milli þín og apps. Cashfulness hjálpar þér að sjá skýrt, ekki að velja hvaða sjóð á að kaupa í næstu viku.
Tilkynningar og fréttabréf: aðeins ef þú vilt það sjálf/ur, aldrei sjálfgefið.
Þótt við séum ofnæm fyrir viðskiptaprófílgerð þýðir það ekki að við séum þögull vettvangur.
Cashfulness getur sent þér gagnlega hluti — og þegar ég segi „gagnlegt“ á ég raunverulega við fyrir þig, ekki fyrir þriðja aðila: viðvaranir ef fjárhagsáætlun er að fara yfir mörk, ábendingar um hvar tölurnar þínar segja að þú gætir sparað, stutt reglulegt fréttabréf með fræðandi hugleiðingum um persónulegan fjárhag og vöruuppfærslur.
Allt þetta er opt-in: þú kveikir á því við skráningu eða seinna, hvenær sem þú vilt, og slekkur á því hvenær sem þú vilt.
Ekkert reit er þegar hakað. Tölvupósturinn þinn — jafnvel þótt gervinafn — þjónar okkur aðeins til að skila því sem þú baðst um, ekki til að elta þig með skilaboðum sem þú vildir ekki.
Gervigreind sem fylgir stranglega báðum persónuverndarþrepunum.
Gervigreindareiginleikar sem Cashfulness þróar eða mun þróa fylgja aðgreiningunni sem við lýstum hér að ofan.
Fyrir skjöl (yfirlit, samninga, reikninga, tryggingaskírteini) fara gervigreindarvinnslurnar sem krefjast lestrar á innihaldi fram á tækinu þínu, á staðbundnu afkóðuðu eintaki. Netþjónninn sér aldrei innihald þeirra skjala.
Fyrir bókhaldsgögn (stöður, færslur, flokka gælunafnsins þíns) keyra hugsanlegar netþjónsmegin vinnslur á tölum án persónuauðkennis — „bókhald án ævisögu“ sem ég talaði um áður. Gervigreindin getur hjálpað þér að lesa gagnleg mynstur (til dæmis bent þér á útgjöld sem eru utan þíns venjulega ramma, eða stungið upp á hvar hægt sé að skera niður), en án þess að geta nokkurn tímann tengt þessar tölur við raunverulegt nafn og eftirnafn.
Það sem við munum ekki gera er að byggja gervigreindarlíkan sem tengir hver þú ert við fjárhagslíf þitt — af því að „hver þú ert“, í Cashfulness, höfum við það ekki.
Engin sala á samansöfnuðum gögnum sem má rekja til einstaklinga.
Við getum ekki selt „gagnasafn um útgjöld fólks eftir aldurshópi og búsetu“ til banka, rannsóknarstofnana, auglýsingastofa. Gögn um aldur og búsetu höfum við ekki.
Þetta hefði getað verið mikilvæg tekjulind. Við tókum það vísvitandi út úr viðskiptalíkaninu.
Viðskiptaleg afleiðing þessara vala er skýr: til að viðhalda okkur sjálfum lifum við eingöngu á beinum áskriftum notenda.
Lágmarks ókeypis stig, Base-áskrift, Top-áskrift.
Engar auglýsingar, engin sala gagna, ekkert samstarf sem krefst aðgangs að gögnum notenda.
Þetta er þrengra líkan en markaðsstaðallinn, en það er heiðarlegt, og það er það eina sem gerir Cashfulness kleift að halda loforðinu sem það gefur á fyrsta skjá skráningarinnar.
Ein afleiðing þessa líkans sem okkur líkar við: sérhver notandi sem velur að borga fyrir Cashfulness er notandi sem vill vöruna í raun og veru.
Það er engin virkni þar sem „varan er ókeypis af því að þú ert varan“.
Þú ert viðskiptavinurinn, og varan er það sem þú borgar fyrir.
Samstarfsverkefni fylgja líka þessari reglu
Það er spurning sem verður fyrr eða síðar spurð okkur — og það er þess virði að fjalla um hana fyrirfram.
Ef Cashfulness myndi í framtíðinni opna fyrir samþættingar við aðra fjármálaþjónustu (verðsamanburðarvettvanga, tryggingamiðlara, fjárfestingastjóra), myndu þessi tvö verndarþrep haldast í gildi?
Já, og reglan er svona: ef Cashfulness samþættir utanaðkomandi samstarfsaðila, mun kallið til samstarfsaðilans alltaf byrja frá tækinu þínu, að þinni sérstöku beiðni, fyrir eitt sérstakt atriði.
Aldrei samansafnað netþjónsmegin.
Aldrei sjálfvirkt.
Aldrei án meðvitaðrar hreyfingar frá þér.
Ég ætla að taka áþreifanlegt dæmi, þótt það sé framtíðar- og ímyndað.
Segjum að þú hafir hlaðið inn í Cashfulness raforkureikningnum þínum og viljir vita hvort betra tilboð sé á markaðnum.
Í staðalappi myndi kerfið sjálfkrafa senda samstarfsaðilanum gögn reikningsins (og kannski önnur samhengisgögn), fá svarið, og sýna þér það.
Í Cashfulness-líkaninu munt þú í staðinn sjá hnapp „athuga hjá [samstarfsaðila]“ á þeim tiltekna reikningi.
Þegar þú ýtir á hann, hleður síminn þinn niður reikningnum úr Cashfulness-safninu, afkóðar hann staðbundið — því munum: skjöl sem hlaðið er inn eru enda-í-enda dulkóðuð og aðeins tækið þitt hefur lykilinn til að lesa þau læsileg —, dregur út aðeins þau gögn sem þarf fyrir athugunina (notkun, gjaldskrárflokk, núverandi birgja), sendir þau beint til samstarfsaðilans án þess að fara í gegnum netþjóninn okkar, og sýnir þér svarið.
Netþjónn Cashfulness sá ekkert, jafnvel í þessu tilviki.
Hvorki skjalið, né tölurnar, né auðkenni þitt.
Þetta er ekki seint eftirlátsemi gagnvart persónuvernd.
Þetta er leiðin sem við teljum að samstarfsverkefni ættu að virka í persónulegum fjárhag.
Það er tæknilega óþægilegra að byggja — það krefst SDK tækismegin, fínni auðkenningar, umsjónar með auðkennisgögnum í símanum — en það er eina leiðin sem samræmist loforði vörumerkisins.
Samstarfsverkefni sem myndu biðja Cashfulness um samansafnaðan netþjónsmegin aðgang að gögnum fá kurteist „nei“.
Loforðið, í einni setningu
Þetta er loforðið, dregið saman í setningu sem við vildum að stæði eftir:
Cashfulness veit ekki hver þú ert, les ekki skjölin þín, skilur ekki tölurnar þínar. Aðeins þú átt alla lyklana.
Þrjár ólíkar sagnir fyrir þrjú ólík þrep.
Veit ekki hver þú ert: af því að þú segir því það ekki. Þú notar gælunafn, og það dugar þér.
Les ekki skjölin þín: af því að þau eru dulkóðuð með lykli sem aðeins þú átt.
Skilur ekki tölurnar þínar: af því að án samhengis þíns eru þær bókhald án ævisögu.
Allt annað í vörunni byggir á þessari setningu.
Fjárhagsheilsumælikvarðarnir, greinarmunurinn á Eign+ og Eign-, ósýnilega tvíhliða bókhaldið, vikulega tíu mínútna helgisiðin — allt sem við tölum um í öðrum greinum þessa bloggs — virkar aðeins í raun ef yfir þeim er persónuverndarþak sem gerir þau í raun þín, ekki bara í markaðsmáli.
Ef það er það sem þú ert að leita að, ertu á réttum stað.
Við bíðum eftir þér á biðlista fyrir betuna á cashfulness.com/beta.
Ef þú kýst hins vegar app sem greinir hegðun þína til að ráðleggja þér betur í skiptum fyrir hluta af persónuvernd þinni, er það lögmætt val — það er ekkert að því — en það verðum ekki við.
Það er allt í lagi svona.
Cashfulness er hugsað fyrir fólk sem vill að tölurnar heima verði áfram heima, og veit fullvel að það er einn kostur meðal annarra.
— Vittorio